Protezione dei contenitori in Defender per il cloud

Microsoft Defender per contenitori è una soluzione nativa del cloud per migliorare, monitorare e gestire la sicurezza degli asset in contenitori (cluster Kubernetes, nodi, carichi di lavoro, registri, immagini e altro ancora) e le applicazioni in ambienti multicloud e locali.

Defender per contenitori è utile in quattro domini fondamentali della sicurezza dei contenitori:

• La gestione del comportamento di sicurezza esegue il monitoraggio continuo delle API cloud, delle API Kubernetes e dei carichi di lavoro Kubernetes per individuare le risorse cloud, offrire funzionalità di inventario complete, rilevare errori di configurazione con le linee guida per la mitigazione, fornire una valutazione dei rischi contestuale e consentire agli utenti di eseguire funzionalità avanzate di ricerca dei rischi tramite esplora sicurezza Defender per il cloud.

• Valutazione della vulnerabilità: esegue una valutazione delle vulnerabilità senza l'utilizzo di agenti delle immagini del registro dei contenitori, dei contenitori in esecuzione e dei nodi K8s supportati, con linee guida per la correzione, configurazione zero, analisi giornaliere, copertura per pacchetti di sistemi operativi e linguaggi, e dettagli sull'exploitabilità. L'artefatto dei risultati della vulnerabilità è firmato con un certificato Microsoft per l'integrità e l'autenticità ed è associato all'immagine del contenitore nel registro per le esigenze di convalida.

• Protezione dalle minacce in fase di esecuzione - una suite avanzata di rilevamento delle minacce per cluster, nodi e carichi di lavoro Kubernetes, guidato dalla Intelligence sulle minacce leader di Microsoft, fornisce il mapping al framework MITRE ATT&CK per comprendere facilmente i rischi e il contesto pertinente, e supporta una risposta automatica. Gli operatori di sicurezza possono anche analizzare e rispondere alle minacce ai servizi Kubernetes tramite il portale di Microsoft Defender XDR.

• Distribuzione e monitoraggio : monitora i cluster Kubernetes per i sensori mancanti e offre una distribuzione senza problemi su larga scala per funzionalità basate su sensori, supporto per gli strumenti di monitoraggio Kubernetes standard e gestione di risorse non monitorate.

Puoi approfondire guardando questo video della serie Defender per il Cloud sul campo: Microsoft Defender per i container.

Disponibilità del piano Microsoft Defender per contenitori

Gestione del comportamento di sicurezza

Funzionalità senza agente

• Individuazione senza agente per Kubernetes: fornisce zero footprint, l'individuazione basata su API dei cluster Kubernetes, le relative configurazioni e distribuzioni.

• Valutazione della vulnerabilità senza agente: fornisce una valutazione della vulnerabilità per i nodi del cluster e per tutte le immagini del contenitore, incluse raccomandazioni per il Registro di sistema e il runtime, analisi rapide di nuove immagini, aggiornamento giornaliero dei risultati, informazioni dettagliate sull'exploit e altro ancora. Le informazioni sulla vulnerabilità vengono aggiunte al grafico della sicurezza per la valutazione del rischio contestuale e il calcolo dei percorsi di attacco e le funzionalità di ricerca.

• Capacità di inventario esaustive Consente di esplorare risorse, pod, servizi, repository, immagini e configurazioni tramite Security Explorer per monitorare e gestire facilmente gli asset.

• Ricerca dei rischi avanzata Consente agli amministratori della sicurezza di cercare attivamente problemi di comportamento negli asset in contenitori tramite query (predefinite e personalizzate) e informazioni dettagliate sulla sicurezza in Security Explorer

• Rafforzamento del piano di controllo - valuta continuamente le configurazioni dei cluster e le confronta con le iniziative applicate agli abbonamenti. Quando rileva errori di configurazione, Defender per il cloud genera raccomandazioni sulla sicurezza disponibili nella pagina Raccomandazioni di Defender per il cloud. Le raccomandazioni consentono di analizzare e correggere i problemi.

  È possibile usare il filtro delle risorse per esaminare le raccomandazioni in sospeso per le risorse correlate ai contenitori, sia nell'inventario delle risorse che nella pagina delle raccomandazioni:

  Per informazioni dettagliate incluse in questa funzionalità, prendere in esame le raccomandazioni sui contenitori e cercare raccomandazioni con il tipo "Piano di controllo"

Funzionalità basate su sensori

Rilevamento della deriva binaria: Defender per contenitori offre una funzionalità basata su sensori che avvisa l'utente sulle potenziali minacce alla sicurezza rilevando processi esterni non autorizzati all'interno dei contenitori. È possibile definire criteri di deriva per specificare le condizioni in cui devono essere generati gli avvisi, consentendo di distinguere tra le attività legittime e le potenziali minacce. Per altre informazioni, vedere Protezione dalla deriva binaria (anteprima).

Protezione avanzata del piano dati Kubernetes: per proteggere i carichi di lavoro dei contenitori Kubernetes con raccomandazioni sulle procedure consigliate, è possibile installare Criteri di Azure per Kubernetes. Altre informazioni sul monitoraggio dei componenti per Defender per il cloud.

Con i criteri definiti per il cluster Kubernetes, ogni richiesta al server API Kubernetes viene monitorata rispetto al set predefinito di procedure consigliate prima di essere salvato in modo permanente nel cluster. È quindi possibile configurarlo per applicare le procedure consigliate e imporle per i carichi di lavoro futuri.

Ad esempio, è possibile imporre che i contenitori con privilegi non vengano creati e che eventuali richieste future a tale scopo vengano bloccate.

Sono disponibili ulteriori informazioni sull'irrobustimento del piano dati di Kubernetes.

Valutazione della vulnerabilità

Defender per Containers analizza il sistema operativo dei nodi del cluster e il software delle applicazioni, le immagini dei container nei registri dei container di Azure (ACR), Amazon AWS Elastic Container Registry (ECR), Google Artifact Registry (GAR), Google Container Registry (GCR) e i registri di immagini esterni supportati per fornire una valutazione delle vulnerabilità senza agente.

Ora per l'anteprima pubblica nell'ambiente AKS, Defender per Containers esegue anche una scansione giornaliera di tutti i contenitori in esecuzione per fornire una valutazione aggiornata della vulnerabilità, indipendente dal registro immagini del contenitore.

Le informazioni sulla vulnerabilità basate sulla Gestione delle vulnerabilità di Microsoft Defender vengono aggiunte al grafico della sicurezza del cloud per il rischio contestuale, il calcolo dei percorsi di attacco e le funzionalità di ricerca.

Altre informazioni sulle valutazioni delle vulnerabilità per gli ambienti supportati da Defender per contenitori, inclusa la valutazione della vulnerabilità per i nodi del cluster.

Protezione in fase di esecuzione per i nodi e i cluster Kubernetes

Defender per contenitori fornisce protezione dalle minacce in tempo reale per gli ambienti containerizzati supportati e genera avvisi per le attività sospette. È possibile usare queste informazioni per risolvere rapidamente i problemi di sicurezza e migliorare la sicurezza dei contenitori.

La protezione dalle minacce viene fornita per Kubernetes a livello di cluster, nodo e carico di lavoro. Sia la copertura basata su sensori che richiede il sensore Defender che la copertura senza agente in base all'analisi dei log di controllo kubernetes vengono usate per rilevare le minacce. Gli avvisi di sicurezza vengono attivati solo per le azioni e le distribuzioni che si verificano dopo l'abilitazione di Defender per contenitori nella sottoscrizione.

Esempi di eventi di sicurezza monitorati da Microsoft Defender per contenitori includono:

• Dashboard Kubernetes esposti
• Creazione di ruoli con privilegi elevati
• Creazione di montaggi sensibili

Per altre informazioni sugli avvisi rilevati da Defender per contenitori, incluso uno strumento di simulazione degli avvisi, vedere Avvisi per i cluster Kubernetes.

Defender per contenitori include il rilevamento delle minacce con oltre 60 funzionalità di analisi, intelligenza artificiale e rilevamento anomalie di Kubernetes in base al carico di lavoro di runtime.

Defender per il cloud monitora la superficie di attacco delle distribuzioni Kubernetes multi-cloud basate sulla matrice MITRE ATT&CK® per contenitori, un framework sviluppato dal Center for Threat-Informed Defense in stretta collaborazione con Microsoft.

Defender per il cloud è integrato con Microsoft Defender XDR. Quando Defender per contenitori è abilitato, gli operatori di sicurezza possono usare Defender XDR per analizzare e rispondere ai problemi di sicurezza nei servizi Kubernetes supportati.

Altre informazioni

Altre informazioni su Defender per contenitori sono disponibili nei blog seguenti:

• Introduzione di Microsoft Defender per contenitori
• Dimostrazione di Microsoft Defender per il cloud

Passaggi successivi

In questa panoramica sono stati illustrati gli elementi principali della sicurezza dei contenitori in Microsoft Defender per il cloud. Per abilitare il piano, vedere:

• Abilitare Defender per i Contenitori
• Scopri domande comuni su Defender per i contenitori.